Am 20. August 2026 hat Cloudflare optionale OAuth-Scopes veröffentlicht, damit Nutzer genau auswählen können, welche Berechtigungen sie für eine bestimmte Aufgabe erteilen. Wenn Sie KI-Agenten oder SaaS-Tools mit Ihren Konten verbinden, müssen Sie keinen Alles-oder-Nichts-Freigabebildschirm mehr akzeptieren.
Laut dem Cloudflare Blog kann ein OAuth-Client seine Berechtigungen nun als erforderlich oder optional kennzeichnen. Beim Login kann ein Nutzer die optionalen Kontrollkästchen abwählen. Das generierte Token erhält dann nur die Berechtigungen, die Sie genehmigt haben. Bestehende Anwendungen behalten ihr Standard-Setup bei, es sei denn, Entwickler aktivieren diese Funktion explizit.
Das ändert das Berechtigungsmodell.
Bessere Kontrolle für KI-Agenten und -Tools
Viele moderne Tools wie Model Context Protocol (MCP)-Server und Befehlszeilenschnittstellen fordern weitreichenden Zugriff an, da sie viele Aufgaben unterstützen. Möglicherweise möchten Sie aber heute nur, dass ein Agent eine ganz bestimmte Aufgabe ausführt. Mit optionalen Scopes können Sie dem Tool nur genau den Zugriff gewähren, den es im Moment benötigt. Laut Cloudflare hilft dieses Modell auch bei internen Tools und standardmäßigen SaaS-Integrationen.
Tokens werden dadurch viel zielgerichteter.
Die Zahlen, die Sie nicht ungeprüft übernehmen sollten
Cloudflare behauptet, seit Juni mehr als 1 Million Autorisierungen verarbeitet zu haben. Diese Zahl stammt direkt vom Unternehmen – niemand außerhalb von Cloudflare hat die Nutzung unabhängig gemessen oder diese Zahlen überprüft. Cloudflare hat zudem nicht nachgewiesen, dass diese Funktion tatsächliche Sicherheitsvorfälle reduziert. Ein kleineres Token schränkt den Zugriff zwar ein, Ihre App muss jedoch weiterhin mit unvollständigen Berechtigungen umgehen können, ohne abzustürzen.
Was Entwickler beachten müssen
Dieses Update bedeutet echte Arbeit für App-Entwickler. In der Vergangenheit konnte eine App davon ausgehen, dass sie jede angeforderte Berechtigung erhalten hat. Nun müssen Entwickler das Token nach der Autorisierung prüfen, um zu sehen, welche Scopes gewährt wurden. Wenn ein Nutzer einen optionalen Scope deaktiviert, muss die App einen hilfreichen Hinweis anzeigen, anstatt stillschweigend fehlzuschlagen.
Apps müssen mit fehlenden Berechtigungen umgehen können.
So können Sie es heute testen
Wenn Sie Integrationen entwickeln oder warten, testen Sie diesen Ablauf in einer Staging-Umgebung:
- Erstellen Sie einen Test-OAuth-Client mit zwei erforderlichen und zwei optionalen Scopes.
- Fordern Sie alle vier Scopes an, deaktivieren Sie jedoch die beiden optionalen auf dem Zustimmungsbildschirm.
- Tauschen Sie den Autorisierungscode aus und untersuchen Sie die endgültige Token-Payload.
- Rufen Sie Ihre APIs auf, um zu bestätigen, dass der Server deaktivierte Aktionen ordnungsgemäß blockiert, ohne das gesamte Token als ungültig zu behandeln.
- Testen Sie, wie Ihre KI-Agenten und MCP-Server verweigerte Funktionen an die Nutzer melden.
Wenn Sie diese Prüfungen jetzt durchführen, stellen Sie sicher, dass Ihre Tools stabil bleiben, wenn Nutzer sich dafür entscheiden, ihre Daten zu schützen.